Palo Alto Networks documente deux attaques dopées à l’IA

Palo Alto Networks a analysé deux campagnes d’intrusion et d’exfiltration visant des organisations en Amérique latine. La première, suivie sous le nom CL-CRI-1131, a touché une organisation du transport, des ministères fédéraux et des services municipaux de l’eau au Mexique et en Équateur. La seconde, CL-CRI-1163, ciblait le secteur financier brésilien. Les opérateurs ont utilisé des techniques dites « living-off-the-land », des chevaux de Troie d’accès à distance et des outils de tunneling. Les deux groupes ont aussi employé des modèles commerciaux de langage pour orchestrer certaines opérations. Palo Alto Networks décrit ces activités dans une analyse publiée le 22 septembre 2026 (rapport Unit 42).

Deux campagnes distinctes présentent des recoupements techniques et comportementaux. Les opérateurs de CL-CRI-1131 ont exécuté des scripts batch numérotés pour collecter des données sensibles. Ils ont tenté à plusieurs reprises d’extraire la ruche SAM et le fichier NTDS.dit du contrôleur de domaine. Après ces échecs, ils ont créé des copies instantanées sur plusieurs lecteurs avant de copier les fichiers. Les scripts incorporaient aussi une vérification des permissions d’écriture. Pour Palo Alto Networks, ces corrections successives sont compatibles avec une utilisation de modèles de langage. L’infrastructure associée à cette campagne est restée active jusqu’en juin 2026.

Les attaquants déploient NextChat

NextChat exposé a fourni un aperçu de l’environnement utilisé par CL-CRI-1131. L’adresse 178.128.87[.]160 hébergeait une instance de NextChat sur le port TCP 3000. Cette interface web code ouvert permet de charger plusieurs modèles et de comparer leurs réponses. Elle permet aussi de conserver les invites sur une infrastructure contrôlée par les opérateurs. Les rapports cités dans l’analyse associent cette activité à Claude et GPT-4.1. Palo Alto Networks estime que les attaquants ont utilisé des modèles de langage pour générer des scripts de contournement après leurs difficultés d’extraction. Des certificats TLS et plusieurs sous-domaines ont également révélé des fonctions liées à la géolocalisation, au renseignement et aux vaccins.

Le secteur brésilien a été visé par CL-CRI-1163 après un hameçonnage utilisant une pièce jointe liée à une candidature professionnelle. Les attaquants ont ensuite déployé plusieurs chevaux de Troie d’accès à distance. Ils ont tenté d’installer les versions 1 à 8 de SockTz, un outil Go de tunneling SOCKS5 inverse, depuis un site WordPress compromis. Après ces échecs, ils ont récupéré la version 9 depuis une infrastructure contrôlée. Un répertoire ouvert sur l’adresse 167.148.195[.]53 contenait des centaines de scripts de campagne. Les noms exploit_creative.py, exploit_careful.py et rce_focused.py suggéraient une génération itérative assistée par modèle. Les versions de SockTz ont été tentées durant une fenêtre de deux heures.

Les répertoires exposent les opérations

L’infrastructure offensive a aussi constitué une faiblesse opérationnelle pour les attaquants. Le répertoire NextChat accessible publiquement a exposé des éléments du processus, notamment des scripts et un historique d’invites. Les deux campagnes partageaient des relais SOCKS5 et recouraient à des modèles commerciaux pour traiter des difficultés d’exécution. Palo Alto Networks relie cette adoption à une évolution des outils utilisés contre des organisations latino-américaines. Dans CL-CRI-1131, les certificats associés à l’infrastructure ont changé entre février, avril et juin 2026. Dans CL-CRI-1163, les scripts et les outils proxy étaient regroupés sur un répertoire ouvert. Les défenseurs peuvent surveiller ces expositions, tandis que Palo Alto Networks recommande WildFire, Advanced URL Filtering, Advanced DNS Security, Cortex XDR et Cortex XSIAM (protections recommandées).